CRM 운영자는 개인정보처리자입니다
고객 이름, 이메일, 전화번호, 구매 내역을 저장하는 시스템을 운영하는 순간, 법적으로 개인정보처리자가 됩니다. 직원이 1명인 1인 기업도, 바이브코딩으로 직접 만든 소규모 CRM도 예외가 없습니다.
개인정보보호위원회(PIPC)는 2022년 이후 소규모 사업자에 대한 직권 조사와 신고 처리를 대폭 강화했습니다. "몰랐다"는 항변은 감경 사유가 될 수 있어도 면책 사유가 되지 않습니다.
조항별 과태료 현황
개인정보보호법 제75조 과태료 주요 항목
- 수집·이용 동의 미획득: 3,000만 원 이하 과태료 (제15조 위반)
- 개인정보처리방침 미공개: 1,000만 원 이하 과태료 (제30조 위반)
- 안전조치 의무 위반: 3,000만 원 이하 과태료 (제29조 위반) — 암호화 미적용, 접근 권한 미분리 등
- 보유 기간 초과 보관: 3,000만 원 이하 과태료 (제21조 위반)
- 유출 사고 미신고: 3,000만 원 이하 과태료 (제34조 위반)
형사처벌 대상 (제70조~제74조)
과태료와 별도로 형사처벌도 적용됩니다.
- 거짓 동의 취득, 목적 외 이용: 5년 이하 징역 또는 5,000만 원 이하 벌금
- 안전조치 미이행으로 개인정보 유출: 2년 이하 징역 또는 2,000만 원 이하 벌금
실제 적발 사례
사례 1. 소규모 쇼핑몰 — 과태료 2,400만 원
직원 3명 규모의 온라인 쇼핑몰이 고객 정보를 암호화 없이 저장하고, 퇴직한 직원의 DB 접근 권한을 삭제하지 않아 유출 사고가 발생했습니다. 안전조치 의무 위반(제29조)으로 2,400만 원 과태료 처분을 받았습니다.
사례 2. SaaS 스타트업 — 시정명령 + 과태료 1,800만 원
B2B CRM SaaS를 운영하던 스타트업이 개인정보처리방침을 게시하지 않고, 탈퇴 고객 데이터를 3년간 보관해 적발되었습니다. 시정명령과 함께 1,800만 원 과태료가 부과되었습니다.
사례 3. 프리랜서 개발자 — 형사고발
클라이언트로부터 받은 고객 DB를 계약 종료 후에도 유지하며 마케팅 데이터로 활용한 사례에서 형사고발로 이어졌습니다. 바이브코딩 도구를 활용해 서비스를 직접 만들었더라도 데이터 처리 방식은 운영자 책임입니다.
바이브코딩 CRM이 특히 취약한 이유
AI 코드 생성 도구는 기능 요구사항을 구현하는 데 집중합니다. 하지만 보안·법적 준수 사항은 프롬프트에 명시하지 않으면 포함되지 않는 경우가 많습니다.
- 비밀번호 평문 저장 (해시 함수 미적용)
- 개인정보처리방침 페이지 누락
- 동의 없는 필수 수집 폼 구조
- 보유 기간 설정 로직 없음
- HTTP 운영 (HTTPS 미적용)
이 중 하나만 걸려도 과태료 대상입니다. 여러 개가 겹치면 중복 부과됩니다.
지금 당장 할 수 있는 자가 점검 3단계
1단계: 개인정보처리방침 게시 여부 확인
브라우저에서 자신의 서비스 URL + /privacy 를 입력해 보세요. 404 오류가 뜬다면 즉시 작성해야 합니다. 개인정보보호위원회 홈페이지에서 표준 양식을 무료로 제공합니다.
2단계: DB에서 비밀번호 직접 조회
데이터베이스 관리 도구로 users 테이블을 열어보세요. 비밀번호 컬럼이 평문(예: "password123")으로 보인다면 즉각 수정이 필요합니다.
3단계: 외부 취약점 스캐너로 기술적 보호조치 확인
SSL 적용 여부, HTTP 보안 헤더, 접근 제어 설정 등은 외부 스캐너로 수 분 안에 확인할 수 있습니다.
개인정보보호법 위반은 의도적인 악용이 아니어도 적용됩니다. 운영 중인 CRM의 보안 상태를 지금 점검하세요.
지금 바로 무료 CRM 보안 진단을 받아보세요: codescan.kr/security/crm-scan/